LORISには、mediaモジュールにおける不適切なアクセスチェックがあります

CVE-2026-34985 は、神経画像研究のためのデータおよびプロジェクト管理を提供する自己ホスト型 Web アプリケーションである Loris に影響を与えます。この脆弱性は、メディアモジュールに存在し、フロントエンドがユーザーがアクセスすべきではないファイルを適切にフィルタリングしますが、バックエンドはこれらのアクセスチェックを適用していません。これにより、攻撃者は制限されたファイルのファイル名を把握している場合、それを回避してアクセスできるようになります。この欠陥は CVSS スコア 6.3 を持ち、中程度のリスクを示します。影響を受けるバージョンは 16.1.0 から 27.0.3 および 28.0.1 の前です。神経画像研究の機密データが公開されると、重大な結果を招く可能性があります。

Research institutions and laboratories utilizing LORIS for neuroimaging data management are at risk. Specifically, deployments using older versions of LORIS (16.1.0–>= 28.0.0, < 28.0.1) are vulnerable. Organizations with sensitive research data or those relying on LORIS for critical workflows should prioritize remediation.

• php: Examine LORIS application logs for unusual file access attempts, particularly those involving filenames that should be restricted. Use grep to search for patterns related to unauthorized file access within the logs. • generic web: Monitor web server access logs for requests to files that are not publicly accessible. Look for patterns suggesting attempts to access files by directly specifying their names. • database (mysql): If LORIS stores file metadata in a database, query the database for user access permissions and compare them to actual file access attempts.

1. 2026-04-08Disclosure

   disclosure

1. 予約済み2026-03-31
2. 公開日2026-04-08
3. 更新日2026-04-10
4. EPSS 更新日2026-04-16

この脆弱性の解決策は、Loris をバージョン 27.0.3 以降、またはバージョン 28.0.1 に更新することです。これらのバージョンには、バックエンドがフロントエンドと同じアクセスチェックを適用するようにする修正が含まれており、不正なファイルアクセスを防ぎます。リスクを軽減するために、この更新をできるだけ早く適用することをお勧めします。さらに、組織のセキュリティポリシーに沿って、Loris 内のファイルとフォルダーのアクセス許可設定を確認してください。システムログを異常なアクセス試行について監視することも、潜在的な悪用を検出および対応するのに役立ちます。